Fluentd EKS边车容器创建/log目录权限问题求助

问题根源 #

Fluentd尝试在根目录创建/log，本质是配置中硬编码了该路径作为日志存储/输出目录，但容器运行用户没有根目录的写入权限。修改Security Context无效，是因为权限配置没对应到正确的目标目录。

解决步骤 #

• 检查并修正Fluentd配置路径
  找到Fluentd的核心配置文件（如fluent.conf或Helm Values中的config段落），排查所有涉及日志输出、缓存存储的path字段：

  • 错误示例（硬编码根目录路径）：

    <match **>
      @type file
      path /log/output
      ...
    </match>
    

  • 修改为容器内有权限的路径，比如/var/log/fluentd：

    <match **>
      @type file
      path /var/log/fluentd/output
      ...
    </match>
    

• 修正Helm Values中的目录与挂载配置
  针对你使用的artifactory-ha-values.yaml，调整Fluentd相关配置：

  1. 确保logDirectory或类似参数指向非根目录路径，比如/var/log/fluentd
  2. 确认volumeMounts已将持久卷/emptyDir挂载到该路径，同时Security Context的runAsUser、fsGroup对该目录拥有读写权限
     示例配置片段：

  fluentd:
    config:
      logPath: /var/log/fluentd
    volumeMounts:
      - name: fluentd-logs
        mountPath: /var/log/fluentd
    securityContext:
      runAsUser: 1000
      fsGroup: 1000
  

• 验证容器内目录权限
  进入Fluentd Pod检查目标目录权限：

  kubectl exec -it <你的Fluentd Pod名称> -- ls -ld /var/log/fluentd
  

  若权限不足，可通过init容器或Dockerfile添加chown 1000:1000 /var/log/fluentd命令修正。

• 排查Fluentd自身日志路径
  检查是否有环境变量FLUENTD_LOG_PATH被设置为/log相关路径，若有则修改为合法目录，比如/var/log/fluentd/fluentd.log。

内容的提问来源于stack exchange，提问作者Impermanence